Infostealer (logiciel voleur d'identifiants)

Définition

Un infostealer est un logiciel malveillant dont la fonction unique est de collecter puis d'exfiltrer les identifiants, cookies de session, jetons et données de paiement présents sur un appareil, avant de disparaître.

Comment ça fonctionne

L'installation est volontaire du point de vue du système : un fichier ouvert, une fausse mise à jour acceptée, un logiciel pris hors magasin officiel, un jeu ou un utilitaire « gratuit ». Une fois exécuté, le programme ne s'installe pas durablement et ne cherche pas à persister — il collecte et il part, ce qui explique qu'aucun symptôme n'apparaisse. Il vise en priorité le navigateur, parce que tout y est réuni : les mots de passe enregistrés, les cartes bancaires mémorisées, l'historique, et surtout les cookies de session. Ces derniers sont le butin le plus intéressant, car ils représentent une connexion déjà validée : celui qui les rejoue entre sans mot de passe et sans déclencher la double authentification, qui a déjà été franchie. C'est le point que la plupart des victimes découvrent trop tard — changer le mot de passe ne suffit pas si les sessions ne sont pas révoquées.

Pourquoi ça marche

Le programme ne laisse aucun symptôme, donc personne ne pense à vérifier. Le navigateur garde tout au même endroit par commodité, et c'est cette commodité qui fait du vol un travail de quelques secondes.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Connexions à vos comptes depuis un appareil inconnu, sans qu'aucun mot de passe n'ait été changé
• Double authentification qui ne se déclenche pas alors qu'une connexion a eu lieu ailleurs
• Achats ou abonnements avec une carte enregistrée dans le navigateur
• Installation récente d'un logiciel gratuit, d'un crack, ou d'une mise à jour proposée par une page web
• Messages envoyés depuis vos comptes sans que vous les ayez écrits

Comment vérifier

Regardez ce qui a été installé récemment, et les extensions ajoutées au navigateur. Puis, dans chaque compte sensible, ouvrez la liste des sessions et des appareils connectés : une session que vous ne reconnaissez pas est le signe le plus net, et c'est celui que le changement de mot de passe ne fait pas disparaître.

Les questions à se poser, dans l'ordre

1. 1

   Vos comptes montrent-ils une session ou un appareil que vous ne reconnaissez pas ?

   Si oui : Depuis un autre appareil, déconnectez toutes les sessions d'abord, puis changez le mot de passe.

2. 2

   Avez-vous installé récemment un logiciel gratuit, un crack ou une mise à jour proposée par une page ?

   Si oui : Considérez tout ce que le navigateur avait enregistré comme exposé et faites analyser la machine.

3. 3

   Des cartes bancaires étaient-elles enregistrées dans le navigateur ?

   Si oui : Prévenez votre banque et surveillez vos relevés dans les semaines qui suivent.

Que faire

N'installez de logiciel que depuis le site de son éditeur ou un magasin officiel, et méfiez-vous particulièrement de ce qui est présenté comme la version gratuite d'un logiciel payant. Évitez d'enregistrer vos cartes bancaires dans le navigateur : c'est le premier endroit fouillé.

Si c'est déjà arrivé

Dans cet ordre, et depuis un autre appareil : révoquez toutes les sessions actives de vos comptes, puis changez les mots de passe, puis régénérez les codes de secours. Révoquer avant de changer est l'ordre qui compte, car un cookie volé reste valide tant que la session n'est pas fermée. Faites ensuite analyser la machine, et surveillez les paiements des semaines suivantes.

• Checklist d'urgence : « Vous avez saisi un mot de passe sur une page »
• L'assistant « J'ai cliqué » : le plan des gestes selon votre situation

Pour que ça ne se reproduise pas

• N'installez de logiciel que depuis le site de l'éditeur ou un magasin officiel.
• N'enregistrez pas vos cartes bancaires dans le navigateur.
• Retenez l'ordre en cas de doute : déconnecter les sessions avant de changer le mot de passe.

Les gestes qui déjouent cette attaque

• Reprendre un compte piraté (messagerie, réseau social)Mon compte a été piraté, comment le récupérer ?

Questions fréquentes

J'ai changé tous mes mots de passe, suis-je tranquille ?

Pas encore. Un cookie de session dérobé représente une connexion déjà établie : il continue de fonctionner après le changement de mot de passe, jusqu'à ce que la session soit explicitement révoquée. Cherchez « appareils connectés » ou « sessions actives » dans les paramètres de chaque compte.

Mon antivirus n'a rien signalé.

C'est possible : ces programmes sont conçus pour s'exécuter brièvement puis disparaître, ce qui leur laisse peu de temps pour être remarqués. L'absence d'alerte ne prouve rien ; les sessions actives de vos comptes, elles, sont vérifiables.

Attaques liées

• Détournement de session
• Attaque par force brute
• Baiting (appât)
• Fausse mise à jour de navigateur
• Faux téléchargement
• Extension de navigateur malveillante
• Attaque par superposition
• Fuite de données
• Cheval de Troie
• Logiciel espion (spyware)
• Enregistreur de frappe (keylogger)

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement